VPN pribadi atau tunnel paket: dua model VPN untuk iPhone
Satu model mengonfigurasi IPsec atau IKEv2 bawaan iOS; yang lain menyertakan penyedia yang menerapkan protokolnya sendiri. Nama produk tidak menyebut mana yang Anda dapatkan.
Dua aplikasi iPhone dapat sama-sama menempatkan entri VPN di Pengaturan, sama-sama menyebut diri klien VPN, dan hampir tidak berbagi implementasi apa pun. Apple menyebut salah satu integrasi itu VPN Pribadi, dan nama itulah yang menimbulkan sebagian besar kebingungan. VPN Pribadi adalah API untuk membuat dan mengelola konfigurasi yang menggunakan implementasi IPsec atau IKEv2 bawaan. Penyedia tunnel paket adalah model lainnya: aplikasi menyertakan ekstensi yang menerapkan sisi klien dari protokolnya sendiri. Semua yang orang simpulkan dari label itu setelahnya, dari cipher hingga kepemilikan hingga apakah ponsel harus dikelola, adalah simpulan, bukan pernyataan.
Siapa yang menerapkan tunnel
Pemisahan ini menentukan siapa yang bertanggung jawab saat ada yang rusak. Dengan IPsec atau IKEv2 bawaan, iOS memiliki mesin status tunnel dan aplikasi memiliki konfigurasi serta tombolnya. Dengan penyedia, aplikasi memiliki keduanya, sehingga bug protokol menjadi pembaruan aplikasi alih-alih pembaruan sistem operasi.
Perbandingannya singkat jika Anda bertanya siapa yang menerapkan protokol.
| Integration | Apple interface | Protocol implementation |
|---|---|---|
| Personal VPN | NEVPNManager with a Personal VPN configuration | The system IPsec or IKEv2 client |
| Packet tunnel | NETunnelProviderManager plus the provider extension | Whatever the extension implements |
Dokumentasi VPN Pribadi juga mencatat perintah otorisasi pengguna yang eksplisit saat aplikasi pertama kali menyimpan konfigurasi, dan itu milik model tersebut, bukan aplikasi VPN pada umumnya.
Dua klaim tentang label yang sebaiknya ditinggalkan
Yang pertama adalah bahwa VPN Pribadi memilih cipher. Tidak; suite yang dinegosiasikan berasal dari protokol dan konfigurasinya, dan label Pribadi tidak mengatakan apa pun tentang mana yang akan Anda dapatkan. Yang kedua adalah bahwa VPN Pribadi menyiratkan proxy atau tunnel terbatas. Ia menyiratkan IPsec atau IKEv2 bawaan, yang merupakan tunnel penuh setiap kali rutenya mengatakan demikian.
Jadi keberadaan aplikasi bukan bukti tentang protokol kabel. Klien pihak ketiga yang berbicara WireGuard atau OpenVPN adalah aplikasi penyedia secara konstruksi, karena iOS tidak menerapkan protokol itu secara bawaan.
Mengapa istilah perusahaan menyesatkan
Dokumentasi Apple mengklasifikasikan konfigurasi NETunnelProviderManager sebagai konfigurasi VPN perusahaan biasa. Frasa itu adalah kategori API, dan mendorong orang ke dua kesalahan yang berlawanan: menganggap aplikasi konsumen tidak dapat memakai model penyedia, dan menganggap ponsel harus diawasi untuk itu. Keduanya tidak mengikuti. Aplikasi konsumen rutin menyertakan penyedia, dan pengawasan adalah pertanyaan terpisah tentang siapa yang boleh menegakkan kebijakan.
Kepemilikan pengelolaan adalah pertanyaan keempat itu, dan independen dari kedua model. Konfigurasi yang dipasang organisasi membawa identitas, cakupan lalu lintas, dan aturan siklus hidupnya sendiri, dan itu semua berpindah bersama profil, bukan bersama aplikasi yang kebetulan terpasang. Bacalah bersama model integrasi, karena profil bawaan terkelola dan profil penyedia tak terkelola dapat berada di satu ponsel pada saat yang sama.
Periksa buktinya, bukan tangkapan layarnya
Tangkapan layar adalah bukti terburuk yang tersedia, karena pengelompokan Pengaturan berubah antarversi. Profil terkelola menyebut jenis muatannya sendiri: profil bawaan menyatakan jenis VPN seperti IKEv2 atau IPsec, sedangkan profil penyedia membawa subtipe yang menyebut pengenal bundel penyedia. Itu dapat diperiksa di perangkat di depan Anda, dan bertahan dari desain ulang berikutnya.
Untuk aplikasinya sendiri, kelas yang dipakai menjawab pertanyaan yang sama dari sisi lain: objek konfigurasi dari API VPN Pribadi, atau manajer penyedia dan ekstensinya.
Lalu pilih berdasarkan apa yang benar-benar disediakan operator. Di mana ada profil asli yang kompatibel, jalur bawaan punya lebih sedikit bagian bergerak dan satu hal lebih sedikit untuk diperbarui. Di mana layanan membutuhkan protokol yang tidak disertakan iOS, aplikasi penyedia adalah satu-satunya pilihan dan irama rilisnya menjadi bagian dari risiko Anda.
Simpan catatan bersama koneksi
Lampirkan autentikasi dan kebijakan sumber daya ke catatan koneksi, bukan ke aplikasi, agar pemasangan ulang tidak membawa model otorisasinya. Catatan itu juga yang dibutuhkan insinyur dukungan ketika tunnel menyala dan tidak ada hal lain yang berfungsi.
Pertanyaan yang layak diajukan pada akhirnya bukan model mana yang lebih baik. Melainkan model mana yang didukung operator Anda, dan mana yang dapat Anda debug pada pukul dua pagi dengan alat yang benar-benar Anda miliki.